Moment: 脆弱的正则表达式

创建于 2017-09-08 · 24评论 · 资料来源: moment/moment

以下用于解析指定为字符串的日期的正则表达式容易受到ReDoS的攻击：

/[0-9]*['a-z\u00A0-\u05FF\u0700-\uD7FF\uF900-\uFDCF\uFDF0-\uFFEF]+|[\u0600-\u06FF\/]+(\s*?[\u0600-\u06FF]+){1,2}/i

减速幅度适中：在2秒的匹配时间内有50.000个字符。但是，我仍然建议以下之一：

删除正则表达式，
锚定正则表达式，
限制重复可以匹配的字符数，
限制输入大小。

如果需要，我可以提供一个显示速度下降的实际示例。

Bug Up-For-Grabs

资料来源

cristianstaicu

👍29 ❤10

最有用的评论

我们很感激它能尽快解决此问题，因为它已被登录到nsp中，并且构建失败。

davidnormo 于 2017-11-28

👍23 😕3

所有24条评论

为了澄清起见，这在matchWord正则表达式中，在/src/lib/parse/regex.js这里。

这是正则表达式的铁路图。由此可见，重复分组与解析阿拉伯字符有关。如果既懂正则表达式又懂阿拉伯语的人对此有所帮助，将很有帮助。

ReDoS概述也很有帮助。

mj1856 于 2017-10-19

👍4

不好意思，这还没有人开始

hamiltondanielb 于 2017-10-20

👍1

@hamiltondanielb所有你的:)

icambron 于 2017-10-20

@cristianstaicu
如果需要，我可以提供一个显示速度下降的实际示例。

如果可能的话，我想看个例子:)

drag0s 于 2017-10-24

@ Drag0s通过您的私人电子邮件发送了它。

cristianstaicu 于 2017-10-24

👍1

仅供参考，这已添加到NSP中（请参阅此处），因此这可能很快就会开始破坏人们的构建。

@hamiltondanielb-你有没有去研究这个？

mattgrande 于 2017-11-27

👍12

刚刚完成构建build

jonsharratt 于 2017-11-27

😕12

令人遗憾的是，该问题必须在解决之前公开。 NSP公告于9月8日发行，今天已发布。 @cristianstaicu也许您应该提醒维护者有关披露的截止日期，以便为此

dskrvk 于 2017-11-27

👍2

@mattgrande对此有一种

1__bash

升级到nsp 3.1.0可以解决此问题，因为不再存在依赖关系-如果您不直接依赖时刻，请提防这一点。

rupesh1 于 2017-11-27

😄7

有没有解决办法？

bit7 于 2017-11-27

请告知任何可用的修复程序？

JoanYin 于 2017-11-27

尚未发布任何修复程序。

请，如果您有兴趣从维护者那里获取更新，请单击右侧列中的“订阅”，以订阅有关此问题的更新的通知。

fluxsauce 于 2017-11-27

❤7

要为此添加nsp例外，请添加.nsprc文件：

{
  "exceptions": [
     "https://nodesecurity.io/advisories/532"
  ]
}

westy92 于 2017-11-27

👍15

谢谢@ westy92 ！保存了我的版本。

jacob-go 于 2017-11-27

👍2

嗨@ westy92和@ jacob-go。我有以下代码。
var taskMethods = require（'gulpfile-ninecms'）;
gulp.task（'nsp'，tasksMethods.nsp）;
它没有选择.nsprc文件异常。暂时让我发现漏洞。
我将文件添加到项目的根目录。我有什么想做的吗？